主页 / ubuntu / 问题 / 1200690
Accepted
BlueDogRanch
Asked: 2020-01-05 10:09:31 +0800 CST

如何在 iptables 中确认 IP 范围被阻止？

  • 772

在 Ubuntu 19 上，我正在使用这个脚本GitHub - Block countries using iptables + ipset + ipdeny.com。

我已经安装了它，并且为了测试我已经将它配置为获取两个 IP 列表，当我从 shell 运行它时，我在/var/log/ipset-country.log.

当我尝试列出使用阻止的 IP 范围时

iptables -L INPUT -v -n

我懂了

Chain INPUT (policy DROP 59 packets, 2873 bytes)
pkts bytes target     prot opt in     out     source               destination         
407K  137M ufw-before-logging-input  all  --  *   *    0.0.0.0/0            0.0.0.0/0           
407K  137M ufw-before-input  all  --  *      *    0.0.0.0/0            0.0.0.0/0           
33086 1783K ufw-after-input  all  --  *      *    0.0.0.0/0            0.0.0.0/0           
32577 1759K ufw-after-logging-input  all  --  *    *    0.0.0.0/0            0.0.0.0/0           
32577 1759K ufw-reject-input  all  --  *      *     0.0.0.0/0            0.0.0.0/0           
0     0 LOGIPS     tcp  --  *    *   0.0.0.0/0   0.0.0.0/0   match-set ipv4-falkland_islands src
0     0 LOGIPS     tcp  --  *    *   0.0.0.0/0   0.0.0.0/0   match-set ipv4-ethiopia src
32577 1759K ufw-track-input  all  --  *    *     0.0.0.0/0            0.0.0.0/0

这似乎没有显示两个 ipv4 IP 集的 IP 范围；相反，我看到了0.0.0.0/0。

如何确定这两个 IP 列表是否正确导入？

如何列出当前被阻止的 IP 范围？

networking iptables firewall ufw 19.10

2 个回答

  1. Best Answer

    最终，如果工作正常，您应该会看到国家/地区阻止规则的非零数据包和字节计数。例子：

    Chain INPUT (policy DROP 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination
   ...
   60848  3326067 DROP       all  --  enp4s0 *       0.0.0.0/0            0.0.0.0/0            match-set china src
    1265    57566 DROP       all  --  enp4s0 *       0.0.0.0/0            0.0.0.0/0            match-set hongkong src
   26865  1085462 DROP       all  --  enp4s0 *       0.0.0.0/0            0.0.0.0/0            match-set romania src
  193511  7816920 DROP       all  --  enp4s0 *       0.0.0.0/0            0.0.0.0/0            match-set russia src
   33149  1358726 DROP       all  --  enp4s0 *       0.0.0.0/0            0.0.0.0/0            match-set ukraine src

    列出任何集合的内容sudo ipset list SETNAME。例子：

    doug@DOUG-64:~$ sudo ipset list romania | head -15
Name: romania
Type: hash:net
Revision: 6
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 65600
References: 1
Members:
193.104.73.0/24
45.131.104.0/22
89.45.66.0/24
91.240.94.0/24
176.223.66.0/24
185.248.136.0/22
46.175.152.0/22
176.116.32.0/20
    • 1

  2. 如果显示的规则是您想要的，那么您的防火墙已启动。

    打开命令行终端（选择应用程序 > 附件 > 终端），或使用 ssh 登录远程服务器，然后键入以下命令块 IP 地址，如下所示：

    # /sbin/iptables -A INPUT -s 65.55.44.100 -j DROP

    要查看被阻止的 IP 地址，请输入：

    # iptables -L INPUT -v -n

    或者

    # iptables -L INPUT -v -n | less

    任务：检查 Banned IP 的 Linux 使用 grep 命令如下验证 IP 地址 1.2.3.4 是否被阻止：

    # iptables -L INPUT -v -n | grep "1.2.3.4"

    如何删除或取消阻止 IP 地址 1.2.3.4？在 Linux 下使用以下语法删除或解除阻止 IP 地址，输入：

    # iptables -D INPUT -s 1.2.3.4 -j DROP

    最后，确保保存防火墙：

    # service iptables save
    • 0

相关问题